# Las obligaciones de notificación del CRA, explicadas

Desde el **11 de septiembre de 2026**, todo fabricante de un producto con elementos digitales comercializado en la UE debe notificar las vulnerabilidades aprovechadas activamente y los incidentes graves en cuestión de horas, no de semanas.

Source: https://kernwatch.com/es/notificacion-cra · Última actualización: 2026-10-17

## Datos clave

- La Ley de Ciberresiliencia (Cyber Resilience Act) es el Reglamento (UE) 2024/2847; entró en vigor el 10 de diciembre de 2024.
- Las obligaciones de notificación (artículo 14) se aplican desde el 11 de septiembre de 2026, también a los productos que ya están en el mercado.
- Vulnerabilidad aprovechada activamente: alerta temprana en 24 horas, notificación en 72 horas e informe final en 14 días desde que exista una corrección.
- Incidente grave: alerta temprana en 24 horas, notificación en 72 horas e informe final en el plazo de un mes.
- Las notificaciones se presentan a través de la plataforma única de notificación de ENISA al CSIRT coordinador y a ENISA.
- Todos los demás requisitos del CRA se aplican desde el 11 de diciembre de 2027; las multas pueden alcanzar 15 millones de euros o el 2,5 % del volumen de negocios anual mundial.

## Qué obliga a notificar

El artículo 14 de la Ley de Ciberresiliencia (Reglamento (UE) 2024/2847) establece dos supuestos:

- **Una vulnerabilidad aprovechada activamente** en su producto: existen pruebas fiables de que alguien la ha explotado.

- **Un incidente grave** que afecta a la seguridad de su producto: por ejemplo, uno que compromete la integridad de su mecanismo de actualización o de los datos que procesa el producto.

La obligación se aplica también a los productos que ya están en el mercado, no solo a los nuevos, y no depende del tamaño de la empresa.

## Los plazos

|  | Vulnerabilidad aprovechada activamente | Incidente grave |
|---|---|---|

| Alerta temprana | en un plazo de 24 horas desde que se tiene conocimiento | en un plazo de 24 horas desde que se tiene conocimiento |

| Notificación | en un plazo de 72 horas desde que se tiene conocimiento | en un plazo de 72 horas desde que se tiene conocimiento |

| Informe final | a más tardar 14 días después de que esté disponible una medida correctora o paliativa | en el plazo de un mes desde la notificación |

El plazo empieza a contar cuando usted tiene conocimiento; por eso es tan importante saber qué contiene cada versión que comercializa.

## Quién recibe las notificaciones

Las notificaciones se presentan a través de la **plataforma única de notificación gestionada por ENISA**, la agencia de ciberseguridad de la UE. Llegan al CSIRT designado como coordinador en el Estado miembro de su establecimiento principal y a ENISA. Además, debe informar a los **usuarios afectados** sobre la vulnerabilidad o el incidente y las medidas que pueden adoptar.

## Qué más exige el CRA

- Actualizaciones de seguridad durante la vida útil prevista del producto: en la mayoría de los casos, al menos cinco años.

- Una política y un punto de contacto para la divulgación coordinada de vulnerabilidades.

- Una lista de materiales de software (SBOM) y una gestión documentada de cada vulnerabilidad.

- Documentación técnica y una declaración UE de conformidad, que se conservan durante diez años.

A partir del **11 de diciembre de 2027** se aplican todos los requisitos, y los productos sin conformidad con el CRA ya no podrán introducirse en el mercado de la UE.

## Cómo le ayuda Kernwatch

- Señala los componentes con vulnerabilidades explotadas conocidas en las versiones que usted mantiene y añade a su bandeja una tarea para abrir un caso de notificación.

- Abre el caso con los plazos de 24 horas, 72 horas y del informe final, y avisa a tiempo a las personas adecuadas.

- Redacta la alerta temprana, la notificación y el informe final a partir de los datos de producto, versión y evaluación para que usted los revise y apruebe.

- Le ayuda a presentarlos: copie el texto aprobado, abra la plataforma de ENISA, preséntelo allí y registre en Kernwatch la referencia y el justificante. La plataforma de ENISA no ofrece API a los fabricantes, por lo que Kernwatch no puede presentarlo por usted.

- Detecta la corrección: cuando una versión más reciente ya no contiene la versión vulnerable, propone la fecha de la medida correctora, que inicia el plazo de 14 días del informe final.

- Informa a los usuarios tras su aprobación (un correo a los contactos de clientes del producto y, en Professional, el aviso publicado) y registra a quién se informó y cuándo.

## Fuentes oficiales

- [Reglamento (UE) 2024/2847 (Ley de Ciberresiliencia, Cyber Resilience Act), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2024/2847/oj)
- [Ley de Ciberresiliencia, Comisión Europea](https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act)
- [ENISA - Agencia de la Unión Europea para la Ciberseguridad](https://www.enisa.europa.eu/)

Esta página resume el Reglamento (UE) 2024/2847 a título orientativo y no constituye asesoramiento jurídico.